セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説カテゴリ: セキュアなアーキテクチャの設計 トピック: IAMポリシー・ロール・SCP・マルチアカウント 実務シナリオ: AWS Organizations で Management, Finance, Engineering の3つのアカウントがある。Finance バケット finance-analytics-bucket に対して、Engineering アカウントの開発者が読み取りアクセスできるよう、信頼関係・SCP・最小権限を組み合わせた安全な設計を検討する。最も適切な実装を選べ。
AFinance アカウントにクロスアカウントロールを作成し、信頼ポリシーで Engineering アカウントの特定ロールを指定する。このロールに対象バケットの s3:ListBucket と s3:GetObject のみを許可する最小権限を付与し、Engineering 側のロールから AssumeRole を許可する。さらに SCP で組織外からの AssumeRole を制限する。
正解 ⭕⭕
【正解の理由】【正解】クロスアカウントロールと信頼ポリシーを用いて最小権限の原則を適用し、さらに Organization の SCP でアクセス境界を制限する構成は、マルチアカウント環境における最もセキュアで推奨されるアーキテクチャです。
BFinance アカウントの S3 バケットポリシーで Engineering アカウントのルートプリンシパルに対して直接読み取り権限を許可する。Engineering 側のユーザーはバケットポリシーのみでアクセスするが、SCP による組織全体のアクセス境界の強制や特定のロールに絞った信頼制限が不十分となる。
誤答CFinance アカウント内に Engineering 開発者用の個別の IAM ユーザーを作成し、読み取り権限ポリシーを直接アタッチする。この方法はアクセス可能だが、アカウント境界を超えて長期的なアクセスキー等を管理することになり、セキュリティと運用監査上のベストプラクティスに反する。
誤答DAWS IAM Identity Center で Permission Set を作成し、Finance アカウントと Engineering アカウントの双方に一律で適用してバケットアクセス権限を付与する。アクセス許可は可能だが、アカウント間の直接的なクロスアカウントロール信頼構造や組織全体の SCP 境界制御を組み合わせた最適な設計とは異なる。
誤答🎯正解の決め手・公式要点まとめ
正解の要点は、クロスアカウントアクセスを信頼関係で厳密に定義し、最小権限のポリシーを付与した上で、Organizations の SCP によって境界を強化すること。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。